Erläuternder Bericht

Zertifizierungen durchführt (vgl. Anhang 7 der EPDV-EDI). Es ist dabei zu berücksichtigen, dass es im Bereich der Medizininformatik und des Datenschutzes keine standardisierten Ausbildungen gibt und dass Expertinnen und Experten vergleichsweise rar sind. Entsprechende Praxiserfahrung ist daher zu berücksichtigen.

Art. 28 Akkreditierungsverfahren

Diese Bestimmung stellt eine Konkretisierung von Artikel 11 Absätze 1 und 2 AkkBV dar, indem der Einbezug des BAG vorgesehen wird.

6. Kapitel: Zertifizierung

1. Abschnitt: Zertifizierungsvoraussetzungen

Art. 29 Gemeinschaften und Stammgemeinschaften

Eine nach Artikel 27 akkreditierte Zertifizierungsstelle stellt fest, ob eine Gemeinschaft oder Stammgemeinschaft die Zertifizierungsvoraussetzungen erfüllt. Dabei müssen Stammgemeinschaften zusätzlich zu den Zertifizierungsvoraussetzungen der Gemeinschaften (Art. 8–12) die Vorgaben nach den Artikeln 13–20 einhalten.

Absatz 2 delegiert die Rechtssetzungskompetenz zur Festlegung der Einzelheiten für die Zertifizierungsvoraussetzungen an das EDI.

Die Kompetenz zur Anpassung der Zertifizierungsvoraussetzungen an den Stand der Technik wird in Absatz 3 basierend auf Artikel 12 Absatz 2 EPDG dem BAG übertragen. Dies ist insbesondere für die Zertifizierungsvoraussetzungen im Bereich der Daten und Datenübertragung (Art. 9) und dem Datenschutz und der Datensicherheit (Art. 11) von Bedeutung.

Art. 30 Herausgeber von Identifikationsmitteln

Absatz 1 führt die Zertifizierungsvoraussetzungen für Herausgeber von Identifikationsmitteln abschliessend auf.

Der Herausgeber stellt mit geeigneten Verfahren sicher, dass alle Mitarbeiter und Unterauftragnehmer über eine ausreichende Ausbildung, Qualifikation und Erfahrung bezüglich der ihnen übertragenen Aufgaben verfügen (Bst. b).

Nach Buchstabe c müssen die verwendeten Informatiksysteme und -produkte vertrauenswürdig sein. Der Begriff der Vertrauenswürdigkeit bringt zum Ausdruck, wie sorgfältig diese Produkte entwickelt wurden und wie sehr sich ein Anwender dieser Produkte auf die angebotene Sicherheitsfunktionalität verlassen kann.

Bei der Ausstellung des Identifikationsmittels müssen die Herausgeber nach Buchstabe d sicherstellen, dass neben technischen Kontrollen auch organisatorische Massnahmen ergriffen werden, welche den Datenschutz und die Datensicherheit sicherstellen. Hierzu gehört unter anderem die ständige Überwachung der für die Ausstellung des Identifikationsmittels erforderlichen Einrichtungen sowie der Schutz vor unbefugtem Zugriff, so dass nur befugte Mitarbeiter den Zugang zu Bereichen haben, in denen personenbezogene Daten, kryptografische oder andere sensible Informationen verarbeitet werden. Der Herausgeber des Identifikationsmittels bringt betreffend Datenschutz und Datensicherheit bewährte Methoden zur Anwendung und solche, welche in den Grundsätzen der Normenreihe ISO/IEC 27000 und 20000 verankert sind.

Die Identifikations- und Authentifizierungsdienste der Herausgeber von Identifikationsmitteln sowie die